Microsoft Entra PIM-installatiehandleiding

By Mirko Peters · 2026-04-30 · Updated 2026-09-13

Stel Microsoft Entra Privileged Identity Management in: controleer de vereisten, wijs in aanmerking komende rollen toe, configureer MFA en goedkeuringen en test het activeren van rollen.

Automatically translated with AI from the original post. Read the English original

Snel antwoord: Om Microsoft Entra PIM in te stellen, identificeer je geprivilegieerde rollen, wijs je verantwoordelijke eigenaren toe, maak je in aanmerking komende toegang waar nodig tijdgebonden, definieer je goedkeuringen en MFA-vereisten, configureer je meldingen en test je het activeren en de noodprocedures. Begin met beheerrollen met de grootste impact en controleer de resulterende toewijzingen regelmatig, zodat geprivilegieerde toegang niet standaard permanent wordt.

Als je werkt in IT-beveiliging of Microsoft-cloudomgevingen beheert, weet je dat de meeste risico's zich concentreren rond geprivilegieerde toegang. In deze gids lopen we de essentie van Privileged Identity Management (PIM) met Microsoft Entra ID door, zodat je je belangrijkste rollen en gevoelige resources met vertrouwen kunt afschermen.

We behandelen alles, van wat PIM is en waarom je het nodig hebt, tot het configureren van rollen, het instellen van just-in-time (JIT)-toegang en zelfs het automatiseren van de instelling voor grote teams. Daarnaast krijg je praktische stappen voor controle, compliance en stevig governance, of je nu 20 gebruikers beheert of 20.000. Maak je klaar om ongewenste ophoping van rechten en verrassende beheerrechten de deur uit te doen, terwijl goedkeuringen vlot verlopen en beveiligingsteams 's nachts beter slapen.

Inzicht in Privileged Identity Management en de waarde ervan

Privileged Identity Management, of PIM, draait om wie de sleutels van je koninkrijk in de cloud in handen heeft. Omdat zoveel aanvallen zich op beheerdersaccounts richten, is het riskant om die privileges volledig open te laten staan. PIM keert het om: gebruikers kunnen verhoogde rechten “activeren” wanneer dat nodig is, waarna ze automatisch worden teruggedraaid zodra het werk klaar is. Dat heet just-in-time (JIT)-toegang tot geprivilegieerde rollen.

Permanente beheertoegang, waarbij beheerders 24/7 rechten hebben, is een groot doelwit. Misbruik, fouten of zelfs een gecompromitteerd account kunnen snel uitmonden in een ramp. Aanvallers zoeken graag naar deze altijd-aan privileges. Met PIM kun je just-enough-access (JEA) afdwingen, zodat mensen alleen de exacte machtigingen krijgen die ze nodig hebben, en alleen wanneer ze die echt nodig hebben.

PIM gaat niet alleen over paranoia rond beveiliging; het gaat over verantwoordingsplicht en het beperken van onbedoelde schade. Door een controleerbaar spoor bij te houden van wie wanneer en waarom rechten heeft verhoogd, kun je veel rustiger slapen, wetende dat misbruik van privileges niet achter de schermen plaatsvindt. Voor een praktijkvoorbeeld van misbruik van privileges, ook met MFA ingeschakeld, bekijk deze gedetailleerde casus over een inbreuk op Microsoft 365. Die laat zien waarom strakke governance en monitoring in het huidige dreigingslandschap onmisbaar zijn.

Kortom: PIM helpt je compliant te blijven, ongewenste ophoping van rechten in de hand te houden en snel te reageren wanneer auditors aankloppen.

Hoe Microsoft Entra ID geprivilegieerd toegangsbeheer naar een hoger niveau tilt

Microsoft Entra ID, voorheen bekend als Azure Active Directory (Azure AD), is veel meer dan een inlogsysteem. Het is je centrale commandopost voor identiteitsbeveiliging: de basis voor het beheren van gebruikerstoegang, het afdwingen van beleid en het strak in de gaten houden van die krachtige beheerrollen.

Wanneer je PIM in Entra ID inschakelt, koppel je aan een uniform governanceplatform. Elke rolwijziging, activeringsaanvraag en goedkeuring wordt bijgehouden en gestroomlijnd via één vertrouwde interface: de Azure-portal. Dat betekent minder hiaten, minder verwarring en een waterdichte scheiding tussen reguliere en geprivilegieerde activiteiten.

Entra ID brengt voorwaardelijke toegang en meervoudige verificatie in beeld, zodat je automatische controles kunt instellen telkens wanneer een geprivilegieerde rol wordt geactiveerd. Dat schrikt niet alleen aanvallers af, maar vereenvoudigt ook compliance en interne audits. Benieuwd waarom identiteit als controleplatform en voorwaardelijke toegang essentieel zijn voor schaalbare cloudbeveiliging? Beluister deze podcastaflevering over Entra ID en voorwaardelijke toegang voor praktische, realistische strategieën.

Voor organisaties die governance op enterprise-niveau willen uitrollen, integreert Entra ID met Azure Policy, RBAC en tools voor geautomatiseerde handhaving. Dit vormt de ruggengraat van een goed ingericht cloudbeveiligingsmodel—lees meer in Azure Enterprise Governance Strategy—en helpt organisaties om chaos te vermijden en beheersmaatregelen die goed gedocumenteerd en robuust blijven naarmate ze groeien.

Voorwaarden en licenties voor de implementatie van PIM

Voordat je Privileged Identity Management in je Microsoft-omgeving uitrolt, is het belangrijk dat de basis goed staat. Dit is geen functie waarvoor je alleen even op ‘klaar’ klikt en vervolgens vergeet: je hebt de juiste technische bouwstenen nodig en moet een aantal licentievereisten afvinken voordat je kunt beginnen.

Welke versie van Entra ID (Azure AD) je organisatie heeft, is bepalend voor wat PIM kan. Voor volledige PIM-functionaliteit, inclusief het onboarden van resources en fijnmazige controles, is de licentie Azure AD Premium P2 een must. Even belangrijk is om te weten welke gebruikers in je organisatie welke licenties nodig hebben, want zowel gebruikers als goedkeurders moeten de juiste licentie hebben voordat ze met bevoegde rollen aan de slag gaan.

Nog een onderdeel van de puzzel: zorg dat je de juiste Azure-rollen hebt ingericht voor het beheer van PIM zelf. Bepaalde installatie- en configuratiestappen kunnen alleen worden uitgevoerd door Global Administrators of Privileged Role Administrators. Door je beheeraanpak vroeg te plannen, voorkom je later frustrerende blokkades.

In de volgende sectie gaan we dieper in op het toewijzen van deze licenties en op zorgen dat iedereen die toegang nodig heeft, van eindgebruikers tot goedkeurders, goed is voorbereid om PIM optimaal te benutten, zonder machtigingsfouten of verrassingen.

Licenties toewijzen aan PIM-gebruikers en goedkeurders

• Selecteer gebruikers en goedkeurders: Bepaal wie bevoegde toegang moet aanvragen of goedkeuren. Dit kunnen IT-medewerkers, helpdeskmedewerkers of teamleiders zijn.
• Ga naar Azure Portal: Navigeer naar Azure Active Directory > Licenties > Alle producten en kies de juiste Premium P2-licentie.
• Wijs licenties toe: Klik op ‘Toewijzen’ en voeg vervolgens de geselecteerde gebruikers toe. Je kunt individuele gebruikers of volledige groepen tegelijk selecteren, wat efficiënter is.
• Controleer de toewijzing: Bekijk het licentieoverzicht van de gebruiker om te bevestigen dat de licentie is toegewezen. Vanaf nu kunnen ze probleemloos PIM-aanvragen indienen of goedkeuren.

PIM configureren: rolopdrachten en toegangsmodellen

Nu je licenties en voorwaarden klaar zijn, is het tijd om in de kern van PIM te duiken: het configureren van rolopdrachten en het beveiligen van je gevoelige cloudresources. Als eerste bepaal je hoe gebruikers toegang krijgen, als geschikt (on-demand) of actief (altijd aan) beheerder, en leg je toegangsmodellen vast die echt bij de structuur van je team passen.

De kern van PIM zit in het instellen van ‘geschikte’ rollen. Dat betekent dat mensen geen permanente beheerdersrechten hebben, maar ze wel kunnen aanvragen wanneer ze die nodig hebben. Dit beperkt onnodige toegang aanzienlijk en voorkomt ‘privilege creep’ voordat die ontstaat. Denk ook na over welke gebruikers of groepen in aanmerking komen, zodat het op schaal beter beheersbaar blijft.

Vervolgens onboard je Azure-resources en -rollen in PIM voor robuuste controle en registratie. Elke bevoegde rol, zoals Global Admin, Security Admin of Subscription Owner, wordt in kaart gebracht, beschermd en beheerd, zodat je altijd weet wie de sleutels heeft (en voor hoelang). Wil je dieper ingaan op waarom afdwingbare governance en gedocumenteerde rolmodellen belangrijk zijn, bekijk dan de Azure Enterprise Governance Strategy-gids.

Klaar om aan de slag te gaan? In de volgende secties bespreken we geschikte versus actieve toewijzingen, het instellen van geschiktheid voor gebruikers en groepen, en PIM-best practices voor het onboarden van je meest kritieke Azure-rollen.

Geschikte versus actieve bevoegde rolopdrachten begrijpen

Met geschikte rolopdrachten kan een gebruiker verhoogde toegang aanvragen wanneer dat nodig is, maar beschikt die gebruiker er niet 24/7 over. Dit is just-in-time (JIT)-toegang in de praktijk. Zodra de taak is afgerond, worden de rechten automatisch ingetrokken en is de deur weer op slot.

Actieve toewijzingen geven gebruikers daarentegen permanente bevoegdheden. Dat is riskant, omdat je omgeving daardoor kwetsbaar wordt voor onbedoelde fouten of misbruik. Beveiligingsbest practices geven sterk de voorkeur aan geschikte (eligible) toewijzingen. Die verkleinen het aanvalsoppervlak, beperken interne dreigingen en maken het handhaven van beleid en audits een stuk eenvoudiger.

Geschikheid toewijzen aan gebruikers en groepen

• Ga naar PIM-rollen: Open Microsoft Entra ID in de Azure-portal en ga naar Privileged Identity Management > Azure AD-rollen.
• Selecteer de doelrol: Kies de beheer- of resourcerol die je wilt beheren (bijvoorbeeld Global Administrator of User Administrator).
• Wijs gebruikers of groepen toe: Kies “Toewijzingen toevoegen” en selecteer individuele gebruikers of volledige beveiligingsgroepen. Dat is handig voor schaalbaar beheer.
• Stel het toewijzingstype in: Markeer de toewijzing als “Geschikt” in plaats van “Actief” om het principe van minimale rechten te volgen en het overzichtelijk en controleerbaar te houden.

Bevoegdheden voor privileged Azure-rollen beschermen met PIM-roltoewijzing

1. Resources onboarden: Breng je kritieke Azure-rollen en abonnementen in PIM onder. Volg hiervoor de onboardingstappen in de portal.
2. Geschikheid toewijzen: Alleen aangewezen gebruikers en goedgekeurde groepen krijgen een geschikte toewijzing. Zo krijgen ze tijdgebonden toegang tot gevoelige resources.
3. Activeringsbeleid instellen: Vereis just-in-time activering met een verplichte onderbouwing, goedkeuringsworkflows of ticketverwijzingen voor extra beveiliging.
4. Beveiligingsaanbevelingen bekijken: De portal toont tips, zoals het gebruik van break-glass-accounts en het controleren van de toegangshistorie. Zo ben je altijd klaar voor een audit en één stap voor op misbruik van bevoegdheden.
5. Voor meer informatie over governance op schaal bekijk je de Azure governance best practices-gids. Daarin lees je hoe je toegangsmodellen overzichtelijk houdt en beleidsafwijkingen beperkt.

PIM-toegangsaanvragen en goedkeuringen beheren

Zodra je PIM-rollen en -toewijzingen zijn ingericht, wordt de dagelijkse workflow van het activeren, goedkeuren of afwijzen van bevoegdheden cruciaal voor de controle. Hier verschuift het werk van inrichting naar dagelijks beheer. Gebruikers vragen verhoogde rechten alleen aan wanneer ze die echt nodig hebben, en beheerders zien duidelijk wie wat aanvraagt.

Als je het aanvraag- en goedkeuringsproces begrijpt, loopt alles soepel. Gebruikers weten precies hoe ze toegang kunnen aanvragen: ze geven een reden op, vullen een ticketnummer in en wachten op groen licht. Goedkeurders krijgen meldingen en kunnen alles op één plek bekijken voordat ze iemand de sleutels geven (of de deur dichtgooien als er iets niet klopt).

Deze workflows zijn ook aan te passen met goedkeuringsstappen, sign-offs in meerdere fases en extra vragen voor gevoelige rollen. Zo krijg je een levend auditspoor voor elke privileged toewijzing. Dat is essentieel voor compliance en om ongebruikelijke activiteit scherp in de gaten te houden.

De volgende secties behandelen beide kanten: hoe gebruikers toegangsaanvragen indienen en hoe beheerders of aangewezen goedkeurders aanvragen verder brengen of afwijzen.

Stappen om een PIM-aanvraag in te dienen en te activeren

• Aanmelden: De gebruiker meldt zich aan bij de Azure-portal met de standaardreferenties.
• Aanvraag indienen: Ga naar PIM, kies de geschikte rol en klik op “Activeren”. Vul de verplichte velden in (onderbouwing, ticketnummer, duur).
• Goedkeuringsworkflow: Afhankelijk van het beleid gaat de aanvraag naar een goedkeurder. Voor rollen met een laag risico is automatische goedkeuring soms ingeschakeld.
• Meldingen verzonden: De gebruiker krijgt een melding zodra de aanvraag is goedgekeurd. Statusupdates komen in realtime binnen.
• Toegang verleend: Na activering krijgt de gebruiker verhoogde bevoegdheden voor de opgegeven periode. Daarna verlopen ze automatisch.

Hoe je geschikte PIM-aanvragen goedkeurt of afwijst

• Aanvraag bekijken: De goedkeurder ontvangt een e-mail of portalmelding voor een activeringsverzoek in behandeling.
• Details beoordelen: Controleer de onderbouwing van de gebruiker, het gekoppelde ticketnummer en de gevraagde duur ten opzichte van het beleid en recente activiteit.
• Goedkeuren of afwijzen: Kies “Goedkeuren” om toegang te verlenen of “Afwijzen” als er iets niet klopt. Elke actie wordt voor audit-doeleinden gelogd.
• Feedback geven: Stuur eventueel een bericht naar de aanvrager om de beslissing toe te lichten, vooral als er extra stappen of meer informatie nodig zijn.

Governance en gebruikerstoegang beveiligen met PIM

Het gaat niet alleen om wie geprivilegieerde toegang krijgt, maar ook om ervoor te zorgen dat elke activering goed beveiligd is. Moderne aanvallen kunnen wachtwoorden en zelfs MFA omzeilen, dus moet je extra inzetten op gelaagde, voorwaardelijke beleidsregels en goed georganiseerde groepen om je verdediging te versterken.

Multifactorauthenticatie (MFA) is hier je eerste verdedigingslinie. Combineer het met Conditional Access, zodat alleen compliant apparaten en vertrouwde locaties rollen mogen goedkeuren of activeren. Groepsgebaseerd beheer houdt toegangspatronen overzichtelijk en schaalbaar, zodat je tientallen of duizenden gebruikers kunt beheren zonder verdronken te raken in beheerwerk.

Goed gestructureerde groepen maken het ook makkelijker om beleid op schaal toe te passen en af te dwingen, zodat je kunt meebewegen wanneer teams groeien of projecten veranderen. Dat geldt vooral naarmate je cloudomgeving groeit en meer gebruikers verhoogde rechten nodig hebben, zowel voor cloudgerichte als voor hybride (on-premises) taken.

Voor een dieper inzicht in identiteit als controlevlak en in hoe wildgroei aan Conditional Access leidt tot onvoorspelbaar risico, bekijk deze uitgebreide podcast over Entra ID-beveiliging. Werk je met Power Platform of loopt er veel ‘citizen developers’ rond? Dan behandelt deze governancegids ook best practices voor het beveiligen van die omgevingen.

Gebruikers met geprivilegieerde rollen beveiligen met MFA en Conditional Access

1. Dwing MFA af voor alle activeringen: Vereis dat gebruikers multifactorauthenticatie uitvoeren telkens wanneer ze een geprivilegieerde rol activeren. Zo verklein je het risico als inloggegevens uitlekken.
2. Pas Conditional Access toe: Gebruik Conditional Access-beleid op basis van apparaatcompliance, locatie van de gebruiker en risiconiveau, zodat alleen vertrouwde sessies gevoelige rollen kunnen activeren. Pas dit beleid aan waar nodig, maar verstrap altijd meer dan je versoepelt.
3. Stel activeringsvereisten in: Voor extra gevoelige rollen eis je extra goedkeuring of een motivatie tijdens het activeringsproces. Zo houd je misbruik van rechten beter in de hand.
4. Benieuwd naar veilig en voorspelbaar beleidsontwerp? Duik in inclusieve beleidsbasislijnen en tips voor monitoring in deze gids over vertrouwensproblemen bij Conditional Access.

Beveiligingsgroepen maken voor effectief toegangsbeheer met PIM

• Maak rolspecifieke groepen: Bouw speciale beveiligingsgroepen voor belangrijke geprivilegieerde rollen, zodat je in bulk geschiktheid of actieve toewijzingen kunt toekennen.
• Wijs consistent toe: Houd het lidmaatschap van groepen bij via automatisering of regelmatige reviews, zodat toegang schaalbaar blijft en je die op ieder moment kunt intrekken.
• Integreer met governance: Koppel het gebruik van groepen aan duidelijke governancemodellen. Bekijk meer tips voor grote teams en veilig innoveren in deze governancegids voor Power Platform-beveiliging.

PIM automatiseren en controleren voor meer efficiëntie en compliance

Zodra je PIM-setup goed loopt, is de volgende uitdaging opschalen: honderden of duizenden geprivilegieerde gebruikers beheren, elke rolactivering bijhouden en compliance-teams voorzien van eenvoudige, accurate rapporten. Automatisering en degelijke auditing zijn hierbij je beste vrienden.

Met PowerShell en de Microsoft Graph API kun je alles scripten, van het in bulk toekennen van geschiktheid tot het volgens schema intrekken van toegang. Dat beperkt de beheerinspanning, vermindert handmatige fouten en helpt je rollen en groepen up-to-date te houden terwijl mensen de organisatie in- en uitstromen.

Auditing gaat om meer dan vinkjes afvinken. Je wilt elke activering, goedkeuring en afwijzing in real time vastleggen en meldingen instellen voor alles wat verdacht lijkt: onverwachte of mislukte activeringen, privilegeescalaties of afwijkingen van je Conditional Access-basislijnen.

Uitgebreide, exporteerbare rapporten maken naleving van SOX, HIPAA of een andere grote regelgeving een fluitje van een cent. Als je serieus met beveiliging bezig bent, leer dan hoe je geavanceerde auditlogs en monitoring benut via Microsoft Purview Audit, en blijf op de hoogte van nieuwe automatiseringsopties die Microsoft blijft uitbrengen.

PIM-roltoewijzingen automatiseren met PowerShell

1. Bulktoewijzing van geschikte rollen: Script het toevoegen van grote lijsten gebruikers of groepen aan geschikte rollen met de AzureAD- of Microsoft Graph PowerShell-modules, zodat je niet voor elk account de portal hoeft door te ploegen.
2. Toewijzingen plannen: Automatiseer toewijzingen met een looptijd die automatisch verlopen, bijvoorbeeld voor contractors of tijdelijke medewerkers, met startdatum en einddatum rechtstreeks in je scripts.
3. Wijzigingen auditen: Leg elke toewijzing of intrekking vast via scriptlogging. Als je te maken krijgt met resourcedrift of fouten, maken scriptgestuurde rollbacks het opschonen eenvoudig en snel.
4. Wil je via PowerShell meer governance instellen? Houd er rekening mee dat oudere resources mogelijk niet meer beschikbaar zijn. Blijf altijd op de hoogte van de nieuwste automatiseringsopties en API-referenties, want Microsoft blijft de ondersteuning verbeteren.

PIM-auditlogs, waarschuwingen en compliancerapportage instellen

• PIM-auditlogs inschakelen: Zet logging aan voor alle PIM-activiteit via de Azure-portal of gekoppelde beveiligingstools. Volg aanvragen, activeringen, goedkeuringen, afwijzingen en wijzigingen in realtime.
• Realtimewaarschuwingen instellen: Configureer waarschuwingen in Azure Monitor of Microsoft Sentinel voor verdachte gebeurtenissen, zoals atypische activeringen, mislukte goedkeuringen of privilegeverhoging buiten reguliere werktijden.
• Rapportages automatisch genereren: Gebruik ingebouwde rapportage of koppel tools zoals Log Analytics en Microsoft Purview Audit om compliance-gereed rapporten te maken voor SOX, HIPAA en andere wettelijke eisen. Zie praktische richtlijnen voor Purview Audit voor best practices.

Luister ook naar deze afleveringen

Als je onderzoek doet naar Microsoft Entra PIM-instelling, bieden deze afleveringen praktische context over identiteitsbeveiliging, governance, bevoegdheidsbeheer en implementatie:

• Microsoft Defender XDR – Simply Explained — Koppel identiteitsgovernance aan beveiligingssignalen, onderzoek en respons.
• Conditional Access – Simply Explained — Ontdek hoe beleid op basis van voorwaarden toegangsbeslissingen afdwingt.
• Privileged Identity Management – Simply Explained — Begrijp just-in-time bevoegdheden, goedkeuringen en toegangsreviews.
• Microsoft Teams Governance – The Illusion of Control — Zie hoe governance machtigingen en eigenaarschap omzet in herhaalbare processen.

Checklist voor de instelling van Microsoft Entra PIM

• Bepaal een duidelijke eigenaar en zakelijk doel.
• Begin met een kleine, representatieve pilot.
• Test de volledige gebruikers- en supportervaring.
• Documenteer uitzonderingen, reviewdata en escalatieroutes.

Gebruik Microsoft Learn voor actuele configuratierichtlijnen.

Veelgestelde vragen

Waarom is de verwachte optie niet beschikbaar?

Controleer het account waarmee je bent aangemeld, de licentie, de client, het beleid en de grens van de machtigingen voordat je instellingen wijzigt.

🎧 Luister ook naar deze afleveringen

Deze afleveringen geven je de volgende praktische stappen in je leertraject.

• Begin met deze aflevering voor de kernconcepten en praktische controles.
• Deze aflevering biedt een nuttig governance- en beheerperspectief op het onderwerp.
• Deze aflevering biedt een nuttig governance- en beheerperspectief op het onderwerp.

Laatst beoordeeld: juli 2026. Microsoft 365-ervaringen en beleidsinstellingen veranderen regelmatig.